Новата задна врата DeliveryCheck на Turla

Секторът на отбраната в Украйна и Източна Европа е станал мишена на нова, базирана на .NET задна врата, наречена DeliveryCheck (известна още като CAPIBAR или GAMEDAY), която може да доставя полезни товари на следващ етап.

Екипът за разузнаване на заплахите на Microsoft, в сътрудничество с Екипа за реагиране при компютърни инциденти в Украйна (CERT-UA), приписа атаките на руски национален държавен извършител, известен като Turla, който се проследява и под имената Iron Hunter, Secret Blizzard (преди Krypton), Uroburos, Venomous Bear и Waterbug. То е свързано с руската Федерална служба за сигурност (ФСБ).

„DeliveryCheck се разпространява по електронна поща като документи със злонамерени макроси“, заяви компанията в серия от туитове. „Той се запазва чрез планирана задача, която го изтегля и стартира в паметта. Той също така се свързва със сървър C2, за да изтегли задачи, които могат да включват стартиране на произволни полезни товари, вградени в XSLT стилове.“

Успешният първоначален достъп в някои случаи е съпроводен и с разпространението на известен имплант на Turla, наречен Kazuar, който е оборудван да краде конфигурационни файлове на приложения, дневници на събитията и широк набор от данни от уеб браузъри.

Крайната цел на атаките е да се ексфилтрират съобщения от приложението за съобщения Signal за Windows, което позволява на противника да получи достъп до чувствителни разговори, документи и изображения в целевите системи.

Забележителен аспект на DeliveryCheck е способността му да пробива сървъри Microsoft Exchange, за да инсталира компонент от страна на сървъра, използвайки PowerShell Desired State Configuration (DSC) – платформа за управление на PowerShell, която помага на администраторите да автоматизират конфигурирането на системите Windows.

„DSC генерира файл във формат на управляваните обекти (MOF), съдържащ скрипт на PowerShell, който зарежда вградения .NET полезен товар в паметта, като на практика превръща легитимния сървър в C2 център за зловреден софтуер“, обясняват от Microsoft.

Разкритието идва в момент, когато киберполицията на Украйна ликвидира огромна бот ферма с над 100 лица, за които се твърди, че разпространяват враждебна пропаганда, оправдаваща руската инвазия, изнасят лична информация, принадлежаща на украински граждани, и участват в различни схеми за измами.

В рамките на операцията бяха извършени претърсвания на 21 места, в резултат на които бяха иззети компютърно оборудване, мобилни телефони, над 250 GSM шлюза и около 150 000 SIM карти, принадлежащи на различни мобилни оператори.

Източник: The Hacker News

Подобни публикации

4 октомври 2023

Киберсигурността: ключов фактор за настоящето и...

Месецът за повишаване на осведомеността за киберсигурността се отбе...
4 октомври 2023

Моделите на PyTorch са уязвими за изпълнение на...

Изследователи в областта на киберсигурността са разкрили множество ...
4 октомври 2023

Qualcomm издава кръпка за 3 нови нулеви дни

Производителят на чипове Qualcomm пусна актуализации за сигурност, ...
4 октомври 2023

Над 3 дузини зловредни пакети npm са насочени к...

Според констатации на Fortinet FortiGuard Labs в хранилището за пак...
4 октомври 2023

Милиони мейл сървъри на Exim са изложени на zer...

Критична уязвимост от типа „нулев ден“ във всички верси...
3 октомври 2023

Cyber Security Talks Bulgaria – ОКТОМВРИ 2023

На 10.10.2023 г. във Висшето военноморско училище в гр. Варна ще се...
Бъдете социални
Още по темата
21/09/2023

Кибернетичната атака на Кит...

Според Министерството на отбраната (МО) на...
08/08/2023

КНДР шпионира руска ракетна...

Двама различни севернокорейски държавни извършителя са...
20/07/2023

CISA и NSA с нови насоки за...

Американските агенции за киберсигурност и разузнаване...
Последно добавени
04/10/2023

Киберсигурността: ключов фа...

Месецът за повишаване на осведомеността за...
04/10/2023

Моделите на PyTorch са уязв...

Изследователи в областта на киберсигурността са...
04/10/2023

Qualcomm издава кръпка за 3...

Производителят на чипове Qualcomm пусна актуализации...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!